Una vulnerabilità di sicurezza nell'app Zilliqa Ledger potrebbe consentire agli aggressori di ricostruire le chiavi private utilizzando dati onchain pubblicamente disponibili. Il difetto significa che chiunque abbia accesso alla blockchain può potenzialmente derivare la chiave segreta che controlla un portafoglio Zilliqa dell'utente. Ciò mette a rischio di furto ogni token Zilliqa detenuto nei portafogli gestiti dall'app.
Come funziona la vulnerabilità
L'app Zilliqa Ledger è progettata per mantenere le chiavi private al sicuro all'interno di un portafoglio hardware. Ma un bug nell'implementazione dell'app perde informazioni sufficienti attraverso le transazioni che firma. Analizzando i dati onchain — che sono pubblici per progettazione — un aggressore può fare reverse engineering della chiave privata. Il meccanismo esatto non è stato divulgato in dettaglio, ma il problema centrale è che le operazioni crittografiche dell'app non isolano correttamente il materiale della chiave dai dati che produce.
Non si tratta di un rischio teorico. La vulnerabilità è stata confermata da ricercatori di sicurezza che hanno dimostrato che una chiave privata può essere recuperata da una manciata di transazioni firmate. L'attacco non richiede accesso fisico al dispositivo né attrezzatura speciale — solo i registri pubblici della blockchain.
Cosa è in gioco
Le chiavi private sono il punto singolo di fallimento nella sicurezza delle criptovalute. Chiunque ottenga una chiave privata può trasferire tutti i fondi dal portafoglio associato senza necessità di ulteriore autenticazione. Per gli utenti dell'app Zilliqa Ledger, ciò significa che i loro token ZIL — e qualsiasi altro token ZRC-2 sulla rete Zilliqa — potrebbero essere svuotati istantaneamente.
La vulnerabilità interessa tutte le versioni dell'app rilasciate finora. Non è chiaro quanti utenti siano stati colpiti, ma l'ecosistema Zilliqa ha un numero significativo di portafogli attivi. L'app è il modo principale per gestire gli asset Zilliqa sui portafogli hardware Ledger, che sono tra i dispositivi di cold storage più popolari.
Cosa dovrebbero fare gli utenti
Fino a quando non sarà confermata una correzione, la mossa più sicura è smettere del tutto di usare l'app Zilliqa Ledger. Gli utenti dovrebbero trasferire i propri token Zilliqa in un portafoglio non collegato all'app vulnerabile — ad esempio, un portafoglio software con una nuova frase seed, o un portafoglio hardware diverso che supporti Zilliqa. Dopo aver spostato i fondi, le chiavi private compromesse dovrebbero essere considerate esposte e mai più riutilizzate.
Al momento, né Zilliqa né Ledger hanno rilasciato una dichiarazione ufficiale sulla vulnerabilità. Non è noto se una patch sia in fase di sviluppo o se sia già stata distribuita silenziosamente. Gli utenti dovrebbero verificare regolarmente gli aggiornamenti dell'app e riprendere a usarla solo dopo che entrambe le aziende avranno confermato che il problema è risolto.
Se la vulnerabilità sia stata sfruttata attivamente in circolazione rimane una domanda aperta. Non sono ancora emerse segnalazioni di fondi rubati, ma la situazione potrebbe cambiare rapidamente. I dati onchain necessari per l'attacco sono già disponibili.
